系統用蓄電システムのサイバーセキュリティリスクと対策に関する報告書
報告の目的と内容
2025年度第1回定置用蓄電システム普及拡大検討会において、系統用蓄電池事業を取り巻くサイバーセキュリティリスクとその対策について整理された。この報告の目的は以下の通りである。
- 系統用蓄電システムの導入拡大に伴うサイバーセキュリティリスクへの懸念の高まり。
- 現状及び課題の理解が今後の政策検討において重要であること。
- リスクに対する適切な対策を整理し、政策検討における論点を提供する。
目次
- 系統用蓄電池事業を取り巻くサイバーセキュリティリスク
- サイバーセキュリティリスクへのあるべき対策
- サイバーセキュリティ関連の規制要件
- 電力システムのサイバーセキュリティガイドライン
- 国内の電力分野の制度・規制等におけるサイバーセキュリティの扱い
- まとめ
系統用蓄電池事業を取り巻くサイバーセキュリティリスク
国内の蓄電池システムや業界団体へのヒアリングを通じて、サイバーセキュリティに関する現状の取組み及び課題が把握された。以下のリスクが指摘されている。
具体的なリスク
- 分散型電源の導入拡大やデジタル化の進展に伴い、サイバーセキュリティリスクが高まっている。
- 2024年5月には、太陽光発電設備向けの遠隔監視機器がサイバー攻撃を受け、不正送金事件が発生した。
サイバー攻撃に関する具体例
- ジョージア大学の研究では、蓄電池システムにおける中国製部品のリスクが指摘されている。
- 太陽光発電設備の監視機器が約800台サイバー攻撃を受け、脆弱性が利用された事例も報告されている。
サイバー攻撃の想定パターン
| サイバー攻撃の主体 | 外部の悪意のある第三者 | 悪意のある事業者・メーカー |
|---|
| サイバー攻撃の入口 | 通信経由 | 通信経由 |
| 攻撃のパターン | 外部の第三者による通信経由攻撃
(例：EMSやPCSの通信乗っ取り) | 蓄電所を構成するメーカー等の設備機器を悪用
(例：不適切な制御) |
サイバーセキュリティリスクへのあるべき対策
蓄電所へのサイバー攻撃を防ぐため、システムの防御・検知・被害把握・継続運用の各対策が求められる。
実装可能な対策
| 目的 | 説明 | 対策例 |
|---|
| 防御 | 攻撃の初期段階を防止 | ファイアウォール、アクセス制御 |
| 検知 | 攻撃を早期に検知 | 機器異常検知、侵入センサ |
| 被害把握 | 被害の把握と証跡作成 | ログ収集分析 |
| 事業継続 | サービスの継続と復旧 | データバックアップ、冗長化 |
サイバーセキュリティ関連の規制要件
現在、国内外においてサイバーセキュリティリスクへの懸念が高まっており、様々な関連規制やガイドラインが定められている。以下の要件項目が求められている。
| 要件項目の概要 | 対象となる規制ガイドライン等 |
|---|
| セキュリティの維持管理 責任の明確化 | 日本: 電制GL特定卸供給の指針、自家用GLPCS技術仕様
米国: NERC CIPDoE支援制度(インフラ投資雇用法の遵守)
EU: Cyber Resilience Act
英国: NIS regulation 2018 |
| インシデント報告 対応復旧計画の策定 | 日本: 電制GL特定卸供給の指針
米国: NERC CIPDoE支援制度(インフラ投資雇用法の遵守)
EU: NIS2 Cyber Resilience Act network code on cybersecurity for the electricity sector
英国: NIS regulation 2018 Cyber Security and Resilience Bill |
| サプライチェーンリスク管理 認証規格等の取得 | 日本: 電制GL ERAB GL JC-STAR
米国: NERC CIP Cybersecurity Considerations for DER on the U.S. Electric Grid UL2941
EU: NIS2 Cyber Resilience Act network code on cybersecurity for the electricity sector
英国: NIS regulation 2018 Cyber Security and Resilience Bill |
| セキュリティ教育訓練の実施 | 日本: 電制GL特定卸供給の指針
米国: NERC CIPDoE支援制度(インフラ投資雇用法の遵守)
EU: NIS2 network code on cybersecurity for the electricity sector |
電力システムのサイバーセキュリティガイドライン
我が国の電力システムにおけるサイバーセキュリティは、各種ガイドラインに基づいて整備されており、対象となるシステムの範囲も明確に区分けされている。
サイバーセキュリティガイドラインと系統用蓄電池の関連性
以下の表では、異なるガイドラインと系統用蓄電池との関連性が示されている。
| 名称 | 主な対象 | 発行主体 | 概要 | 系統用蓄電池との関連性 |
|---|
| 電力制御システムセキュリティガイドライン 電制GL | 電気事業の用に供する電気工作物 | 日本電気協会 | 電気事業法等に基づく対策が求められる。 | 10MW以上の系統用蓄電池は発電事業に該当し、本ガイドラインに基づく対策が必要。 |
| 系統連系技術要件 系統連系技術要件 | 系統連系する発電設備 | 各一般送配電事業者 | 系統連系する発電設備には要件が求められる。 | 系統用蓄電池も対象。 |
系統用蓄電池のリソース所有者やアグリゲーターに関するガイドラインの関連性
| 名称 | 主な対象 | 発行主体 | 概要 | 系統用蓄電池との関連性 |
|---|
| 自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン（内規） | 自家用電気工作物発電設備と需要設備 | 経済産業省 | 自家用電気工作物のサイバーセキュリティ対策を記載。 | 1MW以上かつ10MW未満の系統用蓄電池に該当。 |
| ERABに関するサイバーセキュリティガイドライン Ver3.0 | ERAB関連事業者 | 経済産業省 IPA | ERABサービスレベル維持のため最低限のセキュリティ対策。 | アグリゲーターとして系統用蓄電池ビジネスに参入する場合、指針に沿う必要がある。 |
| 特定卸供給に係るサイバーセキュリティ確保の指針 | 特定卸供給事業に関するシステム | 資源エネルギー庁 | 特定卸供給事業のサイバーセキュリティ対策の内容を示す指針。 | アグリゲーターが系統用蓄電池ビジネスに参入する場合、指針に従う必要がある。 |
国内の電力分野の制度・規制等におけるサイバーセキュリティの扱い
国内の制度・規制等において、サイバーセキュリティに関する要件は、相互に解釈を参照しつつ規定されている。特に、2025年5月の改定により新規導入のIoT製品にはJC-STARの取得が求められる。
主要規制の要件
| 規制名 | 概要 |
|---|
| 電気事業法 | サイバーセキュリティを確保する義務がある。 |
| 系統連系技術要件 | 発電設備には求められる対策があり、サイバー攻撃に対する管理が必要。 |
| 電力制御システムセキュリティガイドライン | 電気業者が実施すべきセキュリティ対策の要求事項を規定。 |
| ERABに関するサイバーセキュリティガイドライン | 各種エネルギーマネジメントシステムに関連するサイバーセキュリティ対策を推奨。 |
まとめ
この資料に記載された内容は、国内外における多様なサイバーセキュリティに関する規制、ガイドライン及び制度改定について整理されている。これにより、事業者がサイバーセキュリティ対策を遵守するための理解を深めることが期待される。
